【漏洞通报】Windows Active Directory域服务权限提升漏洞

漏洞情况

近期，火山信安实验室监测到Windows Active Directory 域控制器（DC）身份验证绕过漏洞（也称为 "SambaGhost" 或 "PetitPotam" 相关变种）。漏洞源于 Windows 域控制器在处理 Kerberos 身份验证时，未正确验证 PAC 中的用户 SID（安全标识符），导致攻击者可构造恶意请求提升权限。攻击者可绕过 Kerberos 身份验证，获取域内任意用户的 TGT（票据授予票据），进而横向移动或接管整个域。可能结合其他漏洞（如 NTLM 中继攻击）实现更严重的攻击（如域控制器接管）。攻击者可绕过 Kerberos 身份验证，获取域内任意用户的 TGT（票据授予票据），进而横向移动或接管整个域。可能结合其他漏洞（如 NTLM 中继攻击）实现更严重的攻击（如域控制器接管）。

0x01漏洞利用方式

攻击者可利用 Kerberos 协议中的 PAC（Privilege Attribute Certificate）验证绕过，通过伪造身份请求高权限票据（如 TGT）。攻击者需已获取域内普通用户权限（或匿名访问权限，取决于配置）。通过构造恶意 Kerberos 请求，伪造 PAC 中的用户 SID（如替换为高权限用户 SID）。域控制器未验证 PAC 的真实性，直接颁发高权限 TGT。

示例攻击流程：

0x02影响范围

• Windows Server 2012 R2
• Windows Server 2012 (Server Core installation)
• Windows Server 2012
• Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2016 (Server Core installation)
• Windows Server 2016
• Windows Server, version 20H2 (Server Core Installation)
• Windows Server, version 2004 (Server Core installation)
• Windows Server 2022 (Server Core installation)
• Windows Server 2019 (Server Core installation)
• Windows Server 2022
• Windows Server 2019
• Windows Server 2012 R2 (Server Core installation)

0x03修复方案

1. 升级到安全版本：微软已发布补丁（如 KB5008380），需尽快更新域控制器
2. 在域控制器上启用 PAC 签名验证（需配置 Kerberos 策略）
3. 禁用域控制器的匿名登录（通过组策略或注册表配置）
4. 监控 Kerberos 流量，检测异常请求（如高频率 TGT 请求）
5. 使用网络隔离（如防火墙）限制对域控制器的访问

来源自：广州盈基信息官网